Genau Kai2 - Nutze ich auch seit Jahren am Handy und macht genau das was es soll. Ich könnte schon immer per VPN in Verbindung mit Wireguard / PC und WG Tunnel / Android ordentlich auf SFML / STATS zugreifen.
Ja, für den klassischen Anwendungsfall funktioniert WireGuard mit DynDNS auf dem Router absolut gut und kann auch sehr sicher sein. Wenn nur ich selbst von unterwegs auf mein komplettes Heimnetz zugreifen möchte, ist das eine einfache und saubere Lösung.
Ich verfolge bei mir allerdings eher eine Zero-Trust-Strategie. Das bedeutet für mich, dass ein Gerät oder Benutzer nicht automatisch Zugriff auf mein internes Netzwerk bekommen soll, nur weil eine sichere Verbindung besteht. Stattdessen soll jeder nur genau auf die Ressourcen zugreifen können, die tatsächlich benötigt werden.
Ein konkretes Beispiel aus dem Familienumfeld:
Familienmitglied A wohnt nicht bei mir und benötigt lediglich Zugriff auf einen internen Medienserver.
Familienmitglied B wohnt dagegen noch im Haushalt und soll zusätzlich auf Home Assistant und eventuell weitere interne Dienste zugreifen können.
Familienmitglied A braucht also keinen Zugriff auf Home Assistant, NAS, Router oder andere interne Systeme, sondern lediglich auf genau diesen einen Dienst.
Für mich kommt noch ein wichtiger Sicherheitsaspekt dazu: Ich habe nicht jedes Gerät, dem ich Zugriff gewähre, selbst unter Kontrolle.
Bei externen Familienmitgliedern weiß ich beispielsweise nicht zwangsläufig, welche Software auf deren Notebook läuft, wie konsequent Updates installiert werden oder ob ein Gerät irgendwann kompromittiert wird.
Das bedeutet ausdrücklich nicht, dass WireGuard unsicher wäre. Das Problem liegt in diesem Fall nicht beim VPN selbst.
Ein kompromittiertes Gerät besitzt aber weiterhin seine gültige Zugangsberechtigung. Wenn diese Berechtigung weitreichenden Zugriff auf mein internes Netzwerk erlaubt, kann ein Angreifer diese Verbindung möglicherweise als Ausgangspunkt nutzen, um weitere Geräte und Dienste im LAN zu erreichen.
Genau das möchte ich vermeiden.
Wenn ein Gerät ausschließlich Zugriff auf den tatsächlich benötigten Dienst bekommt, ist der mögliche Schaden entsprechend begrenzt. Selbst wenn dieses Gerät kompromittiert wird, bedeutet das nicht automatisch, dass damit auch Home Assistant, NAS, Router, Server oder andere Bereiche meines Heimnetzes erreichbar sind.
Das ist für mich der wesentliche Gedanke hinter Zero Trust bzw. Least Privilege:
Nicht mehr Zugriff vergeben als tatsächlich benötigt wird.
Natürlich kann man solche Einschränkungen auch mit einem klassischen VPN, verschiedenen Netzen, Routing und entsprechenden Firewallregeln abbilden. Bei wenigen eigenen Geräten ist das auch völlig unproblematisch.
Wenn aber mehrere Personen, Geräte und unterschiedliche Dienste hinzukommen, möchte ich persönlich nicht für jeden Zugang immer mehr lokale Routing- und Firewallregeln pflegen und im Blick behalten müssen.
Ich möchte stattdessen grundsätzlich davon ausgehen:
Ein Benutzer oder Gerät bekommt nicht pauschal Zugriff auf mein internes Netzwerk, sondern nur auf die Ressourcen, die für den jeweiligen Zweck benötigt werden.
Ich respektiere natürlich auch vollkommen die Entscheidung, einen bestimmten Dienst grundsätzlich nicht nach außen erreichbar machen zu wollen. Das ist letztlich eine persönliche Abwägung und jeder darf für seine Umgebung festlegen, welches Risiko und welches Zugriffsmodell er akzeptieren möchte.
Konsequent betrachtet müsste man diese Argumentation dann für mich allerdings auch auf andere Dienste anwenden, die im Home-Assistant-Umfeld betrieben werden. Also beispielsweise Grafana oder andere Dienste innerhalb von HA, die man möglicherweise ebenfalls von unterwegs nutzen möchte. Auch dort stellt sich letztlich dieselbe Frage: Mache ich den Dienst erreichbar, auf welchem Weg mache ich ihn erreichbar und wie begrenze ich den Zugriff?
Für mich ist daher weniger entscheidend, ob ein Dienst von außen erreichbar ist, sondern wie dieser Zugriff technisch abgesichert und auf die tatsächlich benötigten Benutzer und Ressourcen eingeschränkt wird.
Es geht mir also überhaupt nicht darum, WireGuard schlechtzureden oder jemandem vorzuschreiben, wie er seine Umgebung betreiben soll. WireGuard funktioniert hervorragend. Ich bevorzuge für mein eigenes Netzwerk lediglich ein anderes Sicherheits- und Berechtigungsmodell.
Ich denke, die unterschiedlichen Standpunkte sind damit ausreichend dargestellt. Ich respektiere die Entscheidung, den Dienst nicht extern bereitzustellen, teile die grundsätzliche Bewertung des Risikos aber nicht in allen Punkten.
Damit ist das Thema für mich beendet und werde es nicht weiter verfolgen.